Обнаружен недостаток в компоненте хранения логина и отказа Keycloak, решении для управления идентификацией и доступом. Эта проблема затрагивает развертывание с использованием баз данных MySQL или MariaDB в конфигурации с несколькими узлами. Когда несколько неудачных попыток входа происходят одновременно для одной и той же учетной записи, ошибка синхронизации может привести к тому, что система войдет в повторяющийся цикл, который блокирует запись пользователя в базе данных.
Это приводит к законным попыткам входа для этого пользователя быть заблокированным и сбой с ошибкой. Кроме того, поскольку некоторые сбои неправильно записываются во время этого цикла, система защиты методом грубой силы может не точно подсчитывать все неудачные попытки.
Показать оригинальное описание (EN)
A flaw was found in the login-failure storage component of Keycloak, the identity and access management solution. This issue specifically affects deployments using MySQL or MariaDB databases in a multi-node configuration. When multiple failed login attempts occur simultaneously for the same account, a synchronization error can cause the system to enter a repetitive loop that locks the user's record in the database. This results in legitimate login attempts for that user being blocked and failing with an error. Furthermore, because some failures are not correctly recorded during this loop, the system's brute-force protection may not accurately count all failed attempts.
Характеристики атаки
Последствия
Строка CVSS v3.1